TE Vwgh Erkenntnis 2020/5/12 Ro 2019/04/0229

Der Verwaltungsgerichtshof hat durch den Vorsitzenden Senatspräsident Dr. Handstanger und die Hofräte Dr. Mayr sowie Mag. Brandl als Richter, unter Mitwirkung der Schriftführerin Klima, LL.M., über die Revision der Datenschutzbehörde in 1030 Wien, Barichgasse 40-42, gegen das Erkenntnis des Bundesverwaltungsgerichts vom 19. August 2019, Zl. W211 2208885- 1/19E, betreffend Übertretung des Datenschutzgesetzes 2000 sowie des Datenschutzgesetzes und der Datenschutzgrundverordnung (DSGVO) (mitbeteiligte Partei: N.N. Handels- und Betriebsgesellschaft mbH. in G), zu Recht erkannt:

Die Revision wird als unbegründet abgewiesen.

1 Mit Straferkenntnis vom 12. September 2018 legte die revisionswerbende Behörde der N.N. Handels- und Betriebsgesellschaft mbH (mitbeteiligten Partei) zur Last, sie habe als Verantwortliche im Sinne des Art. 4 Z 7 Datenschutz-Grundverordnung (DSGVO) einer Bildverarbeitungsanlage (Videoüberwachung) zu verantworten, dass ab dem 22. März 2018 in einem näher genannten Wettlokal 1. die Videoüberwachung die vor dem Eingangsbereich des Wettlokals liegenden öffentlichen Parkplätze und Verkehrsflächen erfasse und somit dem Zweck der Verarbeitung nicht angemessen und nicht auf das notwendige Maß beschränkt sei; 2. keine Protokollierung der Verarbeitungsvorgänge im Zusammenhang mit der Videoüberwachung stattfinde; 3. keine Löschung der durch die Videoüberwachung aufgenommenen personenbezogenen Bilddaten innerhalb von 72 Stunden stattfinde, eine diesbezüglich gesonderte Protokollierung nicht vorliege und eine Begründung für eine verlängerte Speicherdauer fehle; 4. die Videoüberwachung nicht geeignet gekennzeichnet sei. Die mitbeteiligte Partei habe dadurch zu 1. Art. 5 Abs. 1 lit. a und c sowie Art. 6 Abs. 1 DSGVO, zu 2. für den Zeitraum vor dem 25. Mai 2018 § 50b Abs. 1 Datenschutzgesetz 2000 (DSG 2000) und ab dem 25. Mai 2018 § 13 Abs. 2 Datenschutzgesetz (DSG), zu 3. für den Zeitraum vor dem 25. Mai 2018 § 50b Abs. 2 DSG 2000 und ab dem 25. Mai 2018 § 13 Abs. 3 DSG sowie zu 4. für den Zeitraum vor dem 25. Mai 2018 § 50d Abs. 1 DSG 2000 und ab dem 25. Mai 2018 § 13 Abs. 5 DSG verletzt, weshalb über die mitbeteiligte Partei als Verantwortliche gemäß § 30 DSG je eine Geldstrafe und zwar zu 1) gemäß Art. 83 Abs. 5 lit. a DSGVO in der Höhe von EUR 2.400,--, bzw. zu 2) gemäß § 52 Abs. 2 Z 6 DSG 2000 iVm § 69 Abs. 5 DSG sowie § 62 Abs. 1 Z 4 DSG, zu 3) gemäß § 52 Abs. 2 Z 7 DSG 2000 iVm § 69 Abs. 5 DSG sowie § 62 Abs. 1 Z 4 DSG und zu 4) gemäß § 52 Abs. 2 Z 4 DSG 2000 iVm § 69 Abs. 5 DSG sowie § 62 Abs. 1 Z 4 DSG in der Höhe von jeweils EUR 800,--, insgesamt sohin in der Höhe von EUR 4.800,-- verhängt und gemäß § 64 VStG ein Kostenbeitrag in der Höhe von EUR 480,-- vorgeschrieben wurde.

2 Mit dem angefochtenen Erkenntnis gab das Bundesverwaltungsgericht (Verwaltungsgericht) der Beschwerde der mitbeteiligten Partei Folge, behob das Straferkenntnis, stellte das Verfahren gemäß § 45 Abs. 1 Z 3 VStG ein und sprach aus, dass die mitbeteiligte Partei gemäß § 52 Abs. 8 VwGVG keine Kosten zu tragen habe und die Revision zulässig sei.

3 Begründend führte das Verwaltungsgericht zusammengefasst aus, dass entsprechend der auch auf das Verfahren nach dem DSG übertragbaren Rechtsprechung des Verwaltungsgerichtshofs vom 29. März 2019, Ro 2018/02/0023, für die Wirksamkeit der gegen die juristische Person gerichteten Verfolgungshandlung die genaue Umschreibung der Tathandlung der natürlichen Person vonnöten sei. Für die Bestrafung der juristischen Person sei entscheidend, dass die zur Beurteilung eines tatbestandsmäßigen, rechtswidrigen und schuldhaften Verhaltens, das auch allfälligen zusätzlichen Voraussetzungen der Strafbarkeit genüge, erforderlichen Feststellungen getroffen und im Spruch alle notwendigen Elemente für eine Bestrafung der natürlichen Person aufgenommen werden (§ 44a VStG), mit dem Zusatz, dass das Verhalten der natürlichen Person der juristischen Person zugerechnet werde.

Vorliegend sei eine natürliche Person, deren Verhalten (Anordnung und Installation der Kameras oder fehlende Kontrolle der Kameras bzw. deren Nutzung) der mitbeteiligten Partei zugeordnet werden solle, nie bezeichnet und damit nie konkretisiert worden. Seitens der revisionswerbenden Behörde sei zwar am 12. Juli 2018 ein Firmenbuchauszug eingeholt worden. Auf diesen Auszug werde jedoch im Straferkenntnis weder verwiesen, noch sei er dem Straferkenntnis beigelegt worden.

Die Aufforderung zur Rechtfertigung sei an den laut Firmenbuch handelsrechtlichen Geschäftsführer der mitbeteiligten Partei adressiert gewesen. Der Geschäftsführer sei hingegen nicht in der Beschreibung des Vorwurfs angeführt worden. In der Anzeige der Landespolizeidirektion sei die Angabe der im Wettlokal damals tätigen Kellnerin angeführt worden, wonach der Gesellschafter und gewerberechtliche Geschäftsführer der mitbeteiligten Partei "Chef der Firma" sei. Im Verfahren vor dem Verwaltungsgericht habe sich herausgestellt, dass die tatsächliche Einflussnahme und Kontrolle der mitbeteiligten Partei mit der Information aus dem Firmenbuch nicht ausreichend konkret und der Realität gemäß dargestellt worden sei.

Im Ergebnis sei davon auszugehen, dass keine ausreichende Konkretisierung des Tatvorwurfs im behördlichen Verfahren vorgenommen worden sei, weil aus dem Tatvorwurf nicht hervorgehe, welches Verhalten welcher Person der mitbeteiligten Partei zugerechnet werden hätte sollen. Damit erscheine die Wahrnehmung wesentlicher Verteidigungsrechte der mitbeteiligten Partei nicht ausreichend garantiert.

Selbst nach der im Beschwerdeverfahren vertretenen Argumentation der revisionswerbenden Behörde solle eine Handlung einer Person der juristischen Person zugeordnet werden. Dies sei vorliegend nicht der Fall. Überdies beziehe sich § 30 DSG auf die dort genannten Personen, die als solche in "Schlüsselfunktionen" angesehen werden könnten.

Der Argumentation der revisionswerbenden Behörde, Art. 83 DSGVO sei inhaltlich wettbewerbsrechtlichen Vorschriften nachgebildet, weshalb die dazu ergangene einschlägige Rechtsprechung des Gerichtshofs der Europäischen Union (EuGH), wonach eine konkrete Benennung einer natürlichen Person, die innerhalb eines Unternehmens schuldhaft gehandelt haben solle oder für eine möglicherweise fehlerhafte Organisation verantwortlich gemacht werden solle, nicht notwendig sei, auch vorliegend heranzuziehen sei, sei nicht zu folgen. Die zitierte Rechtsprechung beziehe sich nämlich auf durch die Europäische Kommission geführte wettbewerbsrechtliche Verfahren unter Heranziehung eigener - auch verfahrensrechtlicher - Vorgaben. Art. 83 Abs. 8 DSGVO hingegen halte fest, dass die Ausübung der Befugnisse der Aufsichtsbehörde angemessenen Verfahrensgarantien gemäß dem Unionsrecht und dem Recht der Mitgliedstaaten einschließlich wirksamer gerichtlicher Rechtsbehelfe und ordnungsgemäßer Verfahren unterliegen müsse. Eine direkte Anwendbarkeit der Rechtsprechungsgrundsätze der Gerichte der Europäischen Union zum Wettbewerbsrecht scheide auf Grund der unterschiedlichen Rechtsgrundlagen, der unterschiedlichen verfahrensrechtlichen Grundlagen und des Verweises in der DSGVO selbst, wonach das Verfahren nach Art. 83 DSGVO den Verfahrensgarantien auch nach dem Recht der Mitgliedstaaten zu unterliegen habe, aus.

Es sei somit nicht von einem ausreichend konkretisierten Tatvorwurf im behördlichen Verfahren auszugehen.

Dieser Mangel könne vom Verwaltungsgericht nicht behoben werden.

Das vorliegende Straferkenntnis normiere keinen Zeitpunkt, an dem das strafbare Verhalten aufgehört habe, weshalb für den Beginn der Berechnung der Verfolgungsverjährungsfrist nach § 31 Abs. 1 VStG vom Datum des Straferkenntnisses, den 12. September 2018, auszugehen sei und diese noch offen sei.

Die mangelnde Tauglichkeit der Verfolgungshandlung könne jedoch auf Grund der Begrenzung des Beschwerdeverfahrens auf den im Straferkenntnis gegenständlichen Tatvorwurf nicht durch Nachholung der Verfolgungshandlung durch das Verwaltungsgericht beseitigt werden. Ein erstmals vom Verwaltungsgericht erhobener Tatvorwurf sei eine über eine bloße Präzisierung hinausgehende unzulässige Ausdehnung des Beschwerdegegenstandes. Liege einem Straferkenntnis ein nicht ausreichend konkreter Vorwurf zugrunde, könne nur mit Behebung des Straferkenntnisses und Einstellung des Verfahrens vorgegangen werden. Die fehlende Konkretisierung des Tatvorwurfs stelle ein prozessuales Hindernis für die Überprüfung durch das Verwaltungsgericht dar.

4 Gegen dieses Erkenntnis richtet sich die vorliegende Amtsrevision. Die mitbeteiligte Partei erstattete keine Revisionsbeantwortung.

Der Verwaltungsgerichtshof hat erwogen:

Zulässigkeit

5 Die Zulassung der Revision begründete das Verwaltungsgericht mit fehlender höchstgerichtlicher Rechtsprechung zu den Bestimmungen über die Bestrafung der juristischen Person im Zusammenhang mit der neuen Rechtslage zur DSGVO sowie zum DSG betreffend der Übertragbarkeit der Aussagen des Verwaltungsgerichtshofes in dessen Erkenntnis vom 29. März 2019, Ro 2018/02/0023, auf die materielle Rechtslage nach der DSGVO und dem DSG. Ebenso fehle Rechtsprechung zur Ermächtigung bzw. sogar Verpflichtung des Verwaltungsgerichts, eine fehlende Tauglichkeit einer Verfolgungshandlung durch die Behörde bei offener Verfolgungsverjährung - hier in Bezug auf die Bestimmung der natürlichen Person, deren Verhalten der juristischen Person zugerechnet werden solle - nachzuholen.

6 Die Amtsrevision ist bereits aus den angeführten Gründen

zulässig, sie ist jedoch nicht berechtigt.

Rechtslage

Nationales Recht

7 § 52 des Bundesgesetzes über den Schutz personenbezogener Daten (Datenschutzgesetz 2000 - DSG 2000), BGBl. I Nr. 165/1999, in der hier maßgeblichen Fassung BGBl. I Nr. 83/2013, lautete auszugsweise:

"10. Abschnitt

Strafbestimmungen

...

Verwaltungsstrafbestimmung

§ 52. (1) Sofern die Tat nicht den Tatbestand einer in die Zuständigkeit der Gerichte fallenden strafbaren Handlung bildet oder nach anderen Verwaltungsstrafbestimmungen mit strengerer Strafe bedroht ist, begeht eine Verwaltungsübertretung, die mit Geldstrafe bis zu 25 000 Euro zu ahnden ist, wer

...

(2) Sofern die Tat nicht den Tatbestand einer in die Zuständigkeit der Gerichte fallenden strafbaren Handlung bildet, begeht eine Verwaltungsübertretung, die mit Geldstrafe bis zu 10 000 Euro zu ahnden ist, wer

...

4. seine Offenlegungs- oder Informationspflichten gemäß den §§ 23, 24, 25 oder 50d verletzt oder

...

5. die gemäß § 50a Abs. 7 und § 50b Abs. 1 erforderlichen Sicherheitsmaßnahmen außer Acht lässt oder

6. Daten nach Ablauf der in § 50b Abs. 2 vorgesehene Löschungsfrist nicht löscht.

(2a) Sofern die Tat nicht den Tatbestand einer in die Zuständigkeit der Gerichte fallenden strafbaren Handlung bildet oder nach anderen Verwaltungsstrafbestimmungen mit strengerer Strafe bedroht ist, begeht eine Verwaltungsübertretung, die mit einer Strafe bis zu 500 Euro zu ahnden ist, wer Daten entgegen den §§ 26, 27 oder 28 nicht fristgerecht beauskunftet, richtigstellt oder löscht.

..."

§§ 30 Abs. 1 bis 3 sowie 69 Abs. 4 und 5 des Bundesgesetzes zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten (Datenschutzgesetz - DSG), BGBl. I Nr. 165/1999, in der hier maßgeblichen Fassung BGBl. I Nr. 24/2018, und § 62 Abs. 1 Z 2 leg.cit. in der hier maßgeblichen Fassung BGBl. I Nr. 120/2017, lauten:

"Allgemeine Bedingungen für die Verhängung von Geldbußen

§ 30. (1) Die Datenschutzbehörde kann Geldbußen gegen eine juristische Person verhängen, wenn Verstöße gegen Bestimmungen der DSGVO und des § 1 oder Artikel 2 1. Hauptstück durch Personen begangen wurden, die entweder allein oder als Teil eines Organs der juristischen Person gehandelt haben und eine Führungsposition innerhalb der juristischen Person aufgrund

1.

der Befugnis zur Vertretung der juristischen Person,

2.

der Befugnis, Entscheidungen im Namen der juristischen

Person zu treffen, oder

         3.       einer Kontrollbefugnis innerhalb der juristischen Person

(2) Juristische Personen können wegen Verstößen gegen Bestimmungen der DSGVO und des § 1 oder Artikel 2 1. Hauptstück auch verantwortlich gemacht werden, wenn mangelnde Überwachung oder Kontrolle durch eine in Abs. 1 genannte Person die Begehung dieser Verstöße durch eine für die juristische Person tätige Person ermöglicht hat, sofern die Tat nicht den Tatbestand einer in die Zuständigkeit der Gerichte fallenden strafbaren Handlung bildet.

(3) Die Datenschutzbehörde hat von der Bestrafung eines Verantwortlichen gemäß § 9 des Verwaltungsstrafgesetzes 1991 - VStG, BGBl. Nr. 52/1991, abzusehen, wenn für denselben Verstoß bereits eine Verwaltungsstrafe gegen die juristische Person verhängt wird.

...

4. Hauptstück

Besondere Strafbestimmungen

Verwaltungsstrafbestimmung

§ 62. (1) Sofern die Tat nicht einen Tatbestand nach Art. 83 DSGVO verwirklicht oder nach anderen Verwaltungsstrafbestimmungen mit strengerer Strafe bedroht ist, begeht eine Verwaltungsübertretung, die mit Geldstrafe bis zu 50 000 Euro zu ahnden ist, wer

...

4. eine Bildverarbeitung entgegen den Bestimmungen des 3. Abschnittes des 1. Hauptstücks betreibt oder

...

Übergangsbestimmungen

§ 69.

...

(4) Zum Zeitpunkt des Inkrafttretens dieses Bundesgesetzes bei der Datenschutzbehörde oder bei den ordentlichen Gerichten zum Datenschutzgesetz 2000 anhängige Verfahren sind nach den Bestimmungen dieses Bundesgesetzes und der DSGVO fortzuführen, mit der Maßgabe, dass die Zuständigkeit der ordentlichen Gerichte aufrecht bleibt.

(5) Verletzungen des Datenschutzgesetzes 2000, die zum Zeitpunkt des Inkrafttretens dieses Bundesgesetzes noch nicht anhängig gemacht wurden, sind nach der Rechtslage nach Inkrafttreten dieses Bundesgesetzes zu beurteilen. Ein strafbarer Tatbestand, der vor dem Inkrafttreten dieses Bundesgesetzes verwirklicht wurde, ist nach jener Rechtslage zu beurteilen, die für den Täter in ihrer Gesamtauswirkung günstiger ist; dies gilt auch für das Rechtsmittelverfahren.

..."

Unionsrecht

8 Art. 4 Z 7 und 8 sowie Art. 83 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG, ABl. L 119 vom 4. Mai 2016, S. 1, (Datenschutz-Grundverordnung) - (DSGVO) lauten:

"Artikel 4

Begriffsbestimmungen

Im Sinne dieser Verordnung bezeichnet der Ausdruck:

...

7. ‚Verantwortlicher' die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet; sind die Zwecke und Mittel dieser Verarbeitung durch das Unionsrecht oder das Recht der Mitgliedstaaten vorgegeben, so kann der Verantwortliche beziehungsweise können die bestimmten Kriterien seiner Benennung nach dem Unionsrecht oder dem Recht der Mitgliedstaaten vorgesehen werden;

8. ‚Auftragsverarbeiter' eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet;

...

Artikel 83

Allgemeine Bedingungen für die Verhängung von Geldbußen

(1) Jede Aufsichtsbehörde stellt sicher, dass die Verhängung von Geldbußen gemäß diesem Artikel für Verstöße gegen diese Verordnung gemäß den Absätzen 5 und 6 in jedem Einzelfall wirksam, verhältnismäßig und abschreckend ist.

(2) Geldbußen werden je nach den Umständen des Einzelfalls zusätzlich zu oder anstelle von Maßnahmen nach Artikel 58 Absatz 2 Buchstaben a bis h und i verhängt. Bei der Entscheidung über die Verhängung einer Geldbuße und über deren Betrag wird in jedem Einzelfall Folgendes gebührend berücksichtigt:

a) Art, Schwere und Dauer des Verstoßes unter Berücksichtigung der Art, des Umfangs oder des Zwecks der betreffenden Verarbeitung sowie der Zahl der von der Verarbeitung betroffenen Personen und des Ausmaßes des von ihnen erlittenen Schadens;

b)

Vorsätzlichkeit oder Fahrlässigkeit des Verstoßes;

c)

jegliche von dem Verantwortlichen oder dem Auftragsverarbeiter getroffenen Maßnahmen zur Minderung des den betroffenen Personen entstandenen Schadens;

                 d)       Grad der Verantwortung des Verantwortlichen oder des Auftragsverarbeiters unter Berücksichtigung der von ihnen gemäß den Artikeln 25 und 32 getroffenen technischen und

organisatorischen Maßnahmen;

         e)       etwaige einschlägige frühere Verstöße des Verantwortlichen oder des Auftragsverarbeiters;

         f)       Umfang der Zusammenarbeit mit der Aufsichtsbehörde, um dem Verstoß abzuhelfen und seine möglichen nachteiligen Auswirkungen zu mindern;

         g)       Kategorien personenbezogener Daten, die von dem Verstoß betroffen sind;

         h)       Art und Weise, wie der Verstoß der Aufsichtsbehörde bekannt wurde, insbesondere ob und gegebenenfalls in welchem Umfang der Verantwortliche oder der Auftragsverarbeiter den Verstoß mitgeteilt hat;

         i)       Einhaltung der nach Artikel 58 Absatz 2 früher gegen den für den betreffenden Verantwortlichen oder Auftragsverarbeiter in Bezug auf denselben Gegenstand angeordneten Maßnahmen, wenn solche Maßnahmen angeordnet wurden;

         j)       Einhaltung von genehmigten Verhaltensregeln nach Artikel 40 oder genehmigten Zertifizierungsverfahren nach Artikel 42 und

         k)       jegliche anderen erschwerenden oder mildernden Umstände im jeweiligen Fall, wie unmittelbar oder mittelbar durch den Verstoß erlangte finanzielle Vorteile oder vermiedene Verluste.

(3) Verstößt ein Verantwortlicher oder ein Auftragsverarbeiter bei gleichen oder miteinander verbundenen Verarbeitungsvorgängen vorsätzlich oder fahrlässig gegen mehrere Bestimmungen dieser Verordnung, so übersteigt der Gesamtbetrag der Geldbuße nicht den Betrag für den schwerwiegendsten Verstoß.

(4) Bei Verstößen gegen die folgenden Bestimmungen werden im Einklang mit Absatz 2 Geldbußen von bis zu 10 000 000 EUR oder im Fall eines Unternehmens von bis zu 2 % seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs verhängt, je nachdem, welcher der Beträge höher ist:

a) die Pflichten der Verantwortlichen und der Auftragsverarbeiter gemäß den Artikeln 8, 11, 25 bis 39, 42 und 43;

b) die Pflichten der Zertifizierungsstelle gemäß den Artikeln 42 und 43;

c) die Pflichten der Überwachungsstelle gemäß Artikel 41 Absatz 4.

(5) Bei Verstößen gegen die folgenden Bestimmungen werden im Einklang mit Absatz 2 Geldbußen von bis zu 20 000 000 EUR oder im Fall eines Unternehmens von bis zu 4 % seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs verhängt, je nachdem, welcher der Beträge höher ist:

a) die Grundsätze für die Verarbeitung, einschließlich der Bedingungen für die Einwilligung, gemäß den Artikeln 5, 6, 7 und 9;

b) die Rechte der betroffenen Person gemäß den Artikeln 12 bis 22;

c) die Übermittlung personenbezogener Daten an einen Empfänger in einem Drittland oder an eine internationale Organisation gemäß den Artikeln 44 bis 49;

d) alle Pflichten gemäß den Rechtsvorschriften der Mitgliedstaaten, die im Rahmen des Kapitels IX erlassen wurden;

e) Nichtbefolgung einer Anweisung oder einer vorübergehenden oder endgültigen Beschränkung oder Aussetzung der Datenübermittlung durch die Aufsichtsbehörde gemäß Artikel 58 Absatz 2 oder Nichtgewährung des Zugangs unter Verstoß gegen

Artikel 58 Absatz 1.

(6) Bei Nichtbefolgung einer Anweisung der Aufsichtsbehörde gemäß Artikel 58 Absatz 2 werden im Einklang mit Absatz 2 des vorliegenden Artikels Geldbußen von bis zu 20 000 000 EUR oder im Fall eines Unternehmens von bis zu 4 % seines gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs verhängt, je nachdem, welcher der Beträge höher ist.

(7) Unbeschadet der Abhilfebefugnisse der Aufsichtsbehörden gemäß Artikel 58 Absatz 2 kann jeder Mitgliedstaat Vorschriften dafür festlegen, ob und in welchem Umfang gegen Behörden und öffentliche Stellen, die in dem betreffenden Mitgliedstaat niedergelassen sind, Geldbußen verhängt werden können.

(8) Die Ausübung der eigenen Befugnisse durch eine Aufsichtsbehörde gemäß diesem Artikel muss angemessenen Verfahrensgarantien gemäß dem Unionsrecht und dem Recht der Mitgliedstaaten, einschließlich wirksamer gerichtlicher Rechtsbehelfe und ordnungsgemäßer Verfahren, unterliegen.

(9) Sieht die Rechtsordnung eines Mitgliedstaats keine Geldbußen vor, kann dieser Artikel so angewandt werden, dass die Geldbuße von der zuständigen Aufsichtsbehörde in die Wege geleitet und von den zuständigen nationalen Gerichten verhängt wird, wobei sicherzustellen ist, dass diese Rechtsbehelfe wirksam sind und die gleiche Wirkung wie die von Aufsichtsbehörden verhängten Geldbußen haben. In jeden Fall müssen die verhängten Geldbußen wirksam, verhältnismäßig und abschreckend sein. Die betreffenden Mitgliedstaaten teilen der Kommission bis zum 25. Mai 2018 die Rechtsvorschriften mit, die sie aufgrund dieses Absatzes erlassen, sowie unverzüglich alle späteren Änderungsgesetze oder Änderungen dieser Vorschriften."

Tatzeitraum vor dem Inkrafttreten der DSGVO sowie des DSG 9 Der im Straferkenntnis der mitbeteiligten Partei betreffend sämtlicher vier Verwaltungsübertretungen angelastete Tatzeitraum beginnt jeweils mit 22. März 2018 und umfasst somit jeweils auch einen Zeitraum vor dem Inkrafttreten der DSGVO bzw. dem DSG am 25. Mai 2018 (vgl. Art. 99 Abs. 2 DSGVO bzw. § 70 Abs. 9 DSG in Bezug auf die hier maßgeblichen §§ 30, 62 und 69 DSG). 10 Der mitbeteiligten Partei können daher für den vor dem 25. Mai 2018 gelegenen Zeitraum mangels unmittelbarer Strafbarkeit der mitbeteiligten Partei als juristische Person gemäß § 1 Abs. 2 VStG die ihr vorgeworfenen Übertretungen nicht zur Last gelegt werden. Die Aufhebung des Straferkenntnisses für diesen Tatzeitraum erfolgte daher schon aus diesem Grund zu Recht.

Erfordernis der namentlichen Bezeichnung jener natürlicher Personen, deren Verstöße gegen die DSGVO bzw. das DSG einer juristische Person angelastet werden, in einer Verfolgungshandlung gemäß § 32 VStG sowie im Spruch des Straferkenntnisses gemäß § 44a Z 1 VStG

Zur Frage der Maßgeblichkeit der Rechtsprechung des Verwaltungsgerichtshofes zu § 99d BWG vom 29. März 2019, Ro 2018/02/0023

11 Gemäß Art. 83 DSGVO iVm Art. 4 Z 7 und 8 DSGVO sind Geldbußen für Verstöße gegen die DSGVO gemäß Art. 83 Abs. 4 bis 6 DSGVO nicht nur gegen natürliche Personen, sondern auch gegen juristische Personen als "Verantwortlicher" iSd Art. 4 Z 7 DSGVO oder "Auftragsverarbeiter" iSd Art. 4 Z 8 DSGVO zu verhängen. Nähere Bestimmungen zur strafrechtlichen Verantwortlichkeit juristischer Personen für von ihnen zurechenbaren natürlichen Personen begangene Verstöße gegen die DSGVO enthält die Verordnung nicht.

12 Bis zum Inkrafttreten der DSGVO und deren (unmittelbare) Geltung sowie des DSG traf juristische Personen für Verstöße von ihnen zurechenbaren natürlichen Personen gegen das bis dahin geltende DSG 2000 keine direkte strafrechtliche Verantwortlichkeit und Sanktionsmöglichkeit. Es bestand lediglich das Konzept der Verantwortlichkeit für juristische Personen nach § 9 VStG mit der Haftung für die über die zur Vertretung nach außen Berufenen oder über einen verantwortlichen Beauftragten verhängten Geldstrafen und die Verfahrenskosten nach § 9 Abs. 7 leg. cit. zur ungeteilten Hand als vom rechtskräftigen und vollstreckbaren Strafausspruch gegen diese natürlichen Personen abhängige "kriminelle Bürgschaft" und nicht als Strafe (vgl. VwGH 22.5.2019, Ra 2018/04/0074, 0075, Rn. 9, mwN). Wie in den Gesetzesmaterialien zum DSG, BGBl. I Nr. 120/2017, (ErläutRV 1664 BlgNR 25. GP 10), dargelegt, war somit unter anderem eine Regelung, unter welchen Voraussetzungen Geldbußen gegen juristische Personen verhängt werden können, erforderlich. Dabei orientiert sich die in § 30 DSG geregelte Verhängung von Geldbußen gegen juristische Personen an der Regelung des § 99d des Bankwesengesetzes (BWG), BGBl. Nr. 532/1993.

13 In dem Erkenntnis vom 29. März 2019, Ro 2018/02/0023, Rn.

21 - 33, hielt der Verwaltungsgerichtshof zu den

Inhaltserfordernissen der Verfolgungshandlung iSd §§ 31 und 32 VStG sowie des Schuldspruchs in Bezug auf § 99d Abs. 1 und 2 BWG fest:

"21 Blickt man auf die wegen des Unionsrechtsbezugs hier maßgebenden Verfahrensgarantien des Art. 47 GRC, ist es folgerichtig, dass die juristische Person als Beschuldigte nach § 32 VStG anzusehen ist, wenn sie im Verdacht steht, eine Verwaltungsübertretung zu verantworten zu haben und die Behörde gegen sie eine Verfolgungshandlung richtet. Sie ist dann auch Partei im Sinne des AVG.

22 Ist die juristische Person Beschuldigte im Verwaltungsstrafverfahren (§ 32 VStG), hat sie alle mit dieser Parteistellung verbundenen Rechte. So etwa ist dem Beschuldigten rechtliches Gehör einzuräumen (§ 40 VStG), er muss an ihn gestellte Fragen nicht beantworten (§ 33 Abs. 2 VStG). Der Beschuldigte hat Zugang zu einem Gericht (Verwaltungsgericht), das grundsätzlich eine öffentliche mündliche Verhandlung durchzuführen hat (§ 44 VwGVG), in der dem Beschuldigten Frage- und Informationsrechte zustehen, er kann sich auch vertreten lassen (§ 46 VwGVG). Auch ermöglicht der Strafrahmen des § 99d Abs. 3 BWG mangels Untergrenze eine einzelfallgerechte Strafhöhe (zur Verfassungsmäßigkeit von § 99d BWG in Bezug auf die Strafhöhe vgl. VfGH 13.12.2017, G 408/2016-31 ua).

23 Zudem sind auch die Einschränkungen und Ausnahmen vom Amtswegigkeitsprinzip, die sich etwa aus § 25 Abs. 3 VStG (Absehen von der Anzeigeerstattung), aus § 34 VStG (Vorläufiges Absehen von der Einleitung oder Fortführung des Strafverfahrens) oder aus § 45 Abs. 1 VStG (Absehen von der Einleitung oder Fortführung eines Strafverfahrens und Einstellung) ergeben, auf das gegen die juristische Person als Beschuldigte geführte Verfahren zu ihren Gunsten anwendbar, soweit sie nicht ausschließlich auf natürliche Personen zugeschnitten sind.

24 Durch diese der juristischen Person zukommende prozedurale Rechtsstellung wird den an das Recht auf ein faires Verfahren gestellten Anforderungen entsprochen, weshalb die von Art. 47 GRC geforderten Verfahrensgarantien in einem Verfahren nach dem VStG auch für die juristische Person gewährleistet sind (vgl. zu Art. 6 EMRK im Strafverfahren gegen einen Verband nochmals VfGH 2.12.2016, G 497/2015 ua).

25 Die Bestrafung der juristischen Person nach der in Rede stehenden Bestimmung setzt voraus, dass eine ihr zurechenbare natürliche Person (Führungsperson) eine Straftat begangen hat. Der Strafbarkeit der juristischen Person nach § 99d Abs. 1 und 2 BWG liegt dabei der Vorwurf zu Grunde, die dort genannten Führungspersonen hätten gegen die dort angeführten

‚Verpflichtungen verstoßen' (Abs. 1) oder sie hätten durch mangelnde Kontrolle oder Überwachung eine ‚Mitarbeitertat' ermöglicht (Abs. 2).

26 Die in § 99d BWG verwiesenen Verbots- und Gebotsnormen richten sich entweder direkt an die juristische Person (§ 98 Abs. 1 BWG) oder an den Verantwortlichen gemäß § 9 VStG (§ 98 Abs. 2, Abs. 5, Abs. 5a und § 99 Abs. 1 BWG).

27 Der verfassungsrechtlich geforderte Zusammenhang für die Zurechnung der Anlasstat zur juristischen Person kommt dadurch zum Ausdruck, dass einerseits eine Führungsperson entweder die Tat selbst begangen hat (Abs. 1) oder die Begehung der Tat eines Mitarbeiters durch mangelnde Überwachung und Kontrolle ermöglicht wurde (Abs. 2), andererseits Verbandspflichten verletzt wurden (§ 98 Abs. 1 BWG) bzw. der Verband einen Nutzen aus der Tat zieht (§ 99d Abs. 3 leg.cit.) (vgl. zu § 3 VbVG neuerlich VfGH 2.12.2016, G 497/2015 ua).

28 Wegen eines Verstoßes gegen eine verwaltungsstrafrechtlich sanktionierte Verpflichtung kann bestraft werden, wer den entsprechenden Tatbestand rechtswidrig und schuldhaft (§ 5 VStG) verwirklicht; im konkreten Fall einen oder mehrere Tatbestände des § 98 Abs. 1, Abs. 2 Z 7 und 11, Abs. 5, Abs. 5a oder § 99 Abs. 1 Z 3 oder 4 BWG.

29 Da die juristische Person nicht selbst handeln kann, ist ihre Strafbarkeit gemäß § 99d BWG eine Folge des tatbestandsmäßigen, rechtswidrigen und schuldhaften Verhaltens einer Führungsperson. Demgemäß ist für die Wirksamkeit der gegen die juristische Person gerichteten Verfolgungshandlung die genaue Umschreibung der Tathandlung der natürlichen Person vonnöten. Eine Verfolgungshandlung im Sinne der §§ 31 und 32 VStG muss nämlich eine bestimmte Verwaltungsübertretung zum Gegenstand haben, was erfordert, dass sie sich auf alle der späteren Bestrafung zugrunde liegenden Sachverhaltselemente beziehen muss (VwGH 8.3.2017, Ra 2016/02/0226, mwN). Richtet sich ein so erhobener Vorwurf gegen die juristische Person, so ist - wegen der Abhängigkeit der Strafbarkeit der juristischen Person von der Übertretung der ihr zurechenbaren natürlichen Person - darin auch der Vorwurf gegen die darin genannte natürliche Person enthalten.

30 Wird aber einer namentlich genannten oder aus der sonstigen Umschreibung eindeutig nach individuellen Kriterien bestimmten (vgl. Lewisch/Fister/Weilguni, Verwaltungsgstrafgesetz2, Rn 13 zu § 32) Führungsperson in einer Verfolgungshandlung gegen die juristische Person eine der genannten Straftaten vorgeworfen und kommt die Führungsperson für eine Bestrafung in Betracht, was aufgrund der in § 99d BWG verwiesenen Bestimmungen (nur) auf die Verantwortlichen gemäß § 9 VStG zutrifft, steht der Verantwortliche gemäß § 9 VStG im Verdacht dieser Verwaltungsübertretung, weshalb er ab diesem Zeitpunkt gemäß § 32 Abs. 1 VStG Beschuldigter ist, zumal die Amtshandlung nicht an den Verdächtigen adressiert sein muss (vgl. aaO, Rn 15). Neben der besonderen Stellung im Verwaltungsstrafverfahren als Partei ist dieser Umstand auch für die Verfolgungsverjährung sowohl hinsichtlich der juristischen als auch der natürlichen Person von Bedeutung (§ 31 Abs. 1 VStG).

31 Bei dieser Gelegenheit ist festzuhalten, dass es - sei es für die Verfolgungshandlung, sei es für die Bestrafung - für die Bestimmtheit der verfolgten Person, soweit sie im Spruch nicht ohnehin namentlich genannt wird, nicht ausreicht, wenn auf der Erledigung nicht beigeschlossene Urkunden (wie im vorliegenden Straferkenntnis auf das ‚Firmenbuch') verwiesen wird; wie oben gezeigt wurde, genügt die bloße Bestimmbarkeit der Person nicht.

32 Die Stellung als Beschuldigter hat für den Verantwortlichen zur Folge, dass er nicht nur in einem allenfalls gegen ihn geführten Verfahren als Beschuldigter zu behandeln ist, sondern auch im Verfahren gegen die juristische Person, andernfalls seine Parteirechte nicht gewährleistet wären.

33 Mit Blick auf die eingangs wiedergegebene Zulässigkeitsfrage bedeutet dies, dass das Verfahren gegen die natürliche Person nicht vorrangig zu führen und zu beenden ist sowie keinen Schuldspruch gegen diese erfordert, um auch die juristische Person bestrafen zu dürfen. Für eine Bestrafung der juristischen Person ist vielmehr entscheidend, dass die zur Beurteilung eines tatbestandsmäßigen, rechtswidrigen und schuldhaften Verhaltens, das auch allfälligen zusätzlichen Voraussetzungen der Strafbarkeit genügt, erforderlichen Feststellungen getroffen und im Spruch alle notwendigen Elemente für eine Bestrafung der natürlichen Person aufgenommen werden (§ 44a VStG), mit dem Zusatz, dass das Verhalten der natürlichen Person der juristischen Person zugerechnet werde. Es kommt nicht darauf an, ob und gegebenenfalls gegen welche natürliche Person - ebenfalls - ein Verwaltungsstrafverfahren geführt wird oder wurde."

14 Die revisionswerbende Behörde wendet gegen die Übertragbarkeit dieser Rechtsprechung auf Verstöße gegen die DSGVO und das DSG ein, durch das Verbandsverantwortlichkeitsmodell sui generis, das dem EU-Wettbewerbsrecht entstamme und welches der Unionsgesetzgeber für den Bereich der Geldbußen nach Art. 83 DSGVO sinngemäß vorgesehen habe, würden grundrechtlich gebotene Verfahrensgarantien juristischer Personen nicht geschmälert werden. Ausgehend davon, dass juristische Personen in Verfahren nach Art. 83 DSGVO auch die Rechtsschutz- und Verfahrensgarantien der Art. 47 bis 50 GRC genießen würden, der Grundsatz der Verhältnismäßigkeit und das Schuldprinzip der Regelungssystematik des Art. 83 DSGVO inhärent seien, und die in Art. 83 Abs. 8 DSGVO angesprochenen Verfahrensgarantien, auf die sich juristische Personen stützen könnten, auch im VStG, etwa in den §§ 32a, 33 Abs. 2 und 3, 43 Abs. 2 bis 4 sowie 44b leg.cit., zum Ausdruck kämen, bestehe für nationale Regelungen wie § 30 DSG - interpretiert im Lichte des Erkenntnisses des Verwaltungsgerichtshofes vom 29. März 2019, Ro 2018/02/0023 - mit Blick auf die unmittelbare Anwendbarkeit des Art. 83 DSGVO kein Raum. § 30 DSG finde in dieser Beziehung auch keine Deckung in Art. 83 Abs. 8 DSGVO. In Folge dessen seien die Ausführungen im Erkenntnis, Ro 2018/02/0023, zur verwaltungsstrafrechtlichen Verantwortlichkeit juristischer Personen im Bereich der Finanzmarktaufsicht auf die materielle Rechtslage nach der DSGVO und dem DSG nicht übertragbar. Das VStG kenne zwar im Gegensatz zum Verbandsverantwortlichkeitsgesetz (VbVG) keine unmittelbare Strafbarkeit der juristischen Person und somit keine § 17 VbVG vergleichbare Norm. Diese - planwidrige - Lücke könne jedoch nach Ansicht der revisionswerbenden Behörde durch eine analoge Anwendung des § 17 VbVG geschlossen werden, um die Rechte bestimmter für eine juristische Person handelnder natürlicher Personen zu wahren.

15 Auf das behördliche Verfahren der revisionswerbenden Behörde für die Verhängung von Geldbußen nach Art. 83 DSGVO findet gemäß Art. I Abs. 1 und Abs. 2 Z 2 iVm Art. II EGVG das VStG Anwendung. Dies gilt insoweit, als die DSGVO nicht speziellere Regelungen vorsieht. Die Bestimmungen des § 30 Abs. 1 bis 3 DSG sind erforderlich, um die vollständige Durchsetzung des Art. 83 DSGVO im nationalen Recht sicherzustellen, weil das VStG nur das Verfahren für die Strafbarkeit natürlicher Personen regelt; Art. 83 DSGVO unterscheidet hingegen nicht zwischen von juristischen und von natürlichen Personen begangenen Verstößen (vgl. Bresich/Dopplinger/Dörnhöfer/Kunnert/Riedl, DSG (2018), Seite 210; Illibauer in Knyrim (Hrsg.), DatKomm Art. 83 Rz 124 (Stand Oktober 2018)).

16 § 30 Abs. 1 und 2 DSG beinhalten keine Verfahrensnormen, sondern an § 99d BWG orientierte Zurechnungsregeln für die Verhängung von Geldbußen nach der DSGVO gegen juristische Personen. Insofern bezieht sich § 30 DSG nicht auf Art. 83 Abs. 8 DSGVO, wonach die Ausübung der eigenen Befugnisse durch eine Aufsichtsbehörde (revisionswerbende Behörde) gemäß dieser Bestimmung angemessenen Verfahrensgarantien gemäß dem Unionsrecht und dem Recht der Mitgliedstaaten, einschließlich wirksamer gerichtlicher Rechtsbehelfe und ordnungsgemäßer Verfahren, unterliegen muss.

17 Anders als die Verbandsverantwortlichkeit nach dem VbVG, das in § 3 die Verantwortlichkeit eines Verbandes für von einem seiner Entscheidungsträger (Abs. 2) bzw. von einem seiner Mitarbeiter begangenen Straftaten regelt, sind § 30 DSG sowie § 99d BWG nicht von verfahrensrechtlichen Bestimmungen flankiert und findet sich auch sonst kein besonderes Verfahrensrecht für das Verwaltungsstrafverfahren gegen juristische Personen (vgl. VwGH 29.3.2019, Ro 2018/02/0023, Rn. 16 und 17, zu § 99d BWG).

18 Vielmehr findet auf die Verhängung von Geldbußen gemäß Art. 83 DSGVO das VStG insofern Anwendung, als die DSGVO im Rahmen des Anwendungsvorranges nicht speziellere Regelungen vorsieht. Das Vorbringen der revisionswerbenden Behörde betreffend eine planwidrige Gesetzeslücke in Bezug auf die Behandlung jener natürlicher Personen als Beschuldigte, für deren Verstöße gegen die DSGVO bzw. das DSG bzw. für deren solche Verstöße durch Mitarbeiter ermöglichende mangelnde Überwachung und Kontrolle die juristische Person gemäß § 30 Abs. 1 und 2 DSG verantwortlich gemacht werden kann, weil eine mit § 17 VbVG vergleichbare Gesetzesnorm fehle, steht der Übertragung der Judikatur des Verwaltungsgerichtshof im Erkenntnis Ro 2018/02/0023 auf den vorliegenden Fall nicht entgegen. Vielmehr berücksichtigt der Verwaltungsgerichtshof darin für die direkte Strafbarkeit juristischer Personen gemäß § 99d Abs. 1 und 2 BWG gerade die Stellung der natürlichen Person, deren tatbestandgemäßes, rechtswidriges und schuldhaftes Verhalten der juristischen Person zugerechnet wird, als Beschuldigter.

19 Entgegen der Rechtsansicht der revisionswerbenden Behörde ist somit sehr wohl die vom Verwaltungsgerichtshof zur Bestimmung des § 99d Abs. 1 und 2 BWG (die die Strafbarkeit juristischer Personen für ihr zurechenbares Verhalten von natürlichen Personen weitgehend ident mit § 30 Abs. 1 und 2 DSG regelt) ergangene Rechtsprechung vom 29. März 2019, Ro 2018/02/0023, betreffend die Bestimmtheit der Verfolgungshandlung iSd §§ 31 und 32 VStG bzw. der Bestrafung iSd § 44a VStG auch für die vorliegend wesentliche Rechtsfrage, inwiefern für die Bestrafung einer juristischen Person wegen Verstößen gegen die DSGVO bzw. das DSG gemäß § 30 DSG die zur Beurteilung eines tatbestandsmäßigen, rechtswidrigen und schuldhaften Verhaltens erforderlichen Feststellungen zu treffen sind und im Spruch gemäß § 44a VStG tatbestandsmäßiges, rechtswidriges und schuldhaftes Verhalten einer namentlich genannten natürlichen Person aufzunehmen ist, heranzuziehen.

Zur Frage der Maßgeblichkeit der Rechtsprechung des EuGH zum Erfordernis der konkreten Benennung der innerhalb eines Unternehmens schuldhaft handelnden natürlichen Personen im Wettbewerbsrecht der Union

20 Die revisionswerbende Behörde wendet gegen das sich aus dem Erkenntnis des Verwaltungsgerichtshofs, Ro 2018/02/0023, abgeleitete Erfordernis der namentlichen Benennung der natürlichen Person, deren rechtswidriges und schuldhaftes Verhalten der juristischen Person zuzurechnen ist, ein, Art. 83 DSGVO sei inhaltlich den wettbewerbsrechtlichen Vorschriften der Europäischen Union nachgebildet und daher die Rechtsprechung des EuGH zu Art. 15 der Verordnung Nr. 17/1962 bzw. Art. 23 der Verordnung Nr. 1/2003 einschlägig. In seinem Urteil vom 18. September 2003, C-338/00 P, Volkswagen/Kommission, Rn. 98, in einem Verfahren über die Verhängung einer Geldbuße wegen eines Verstoßes gegen Art. 85 EG-Vertrag habe der EuGH ausgesprochen, dass das Europäische Gericht (EuG) bei der Feststellung der vorsätzlichen Begehung der Zuwiderhandlung die Personen, die innerhalb des Unternehmens schuldhaft gehandelt hätten oder für die möglicherweise fehlerhafte Organisation hätten verantwortlich gemacht werden müssen, nicht benannt werden mussten. Auf diese Rechtsprechung habe sich unter anderem das EuG in seinem Urteil vom 23. Jänner 2014, T-391/09, Rn. 38, das mit Urteil des EuGH vom 16. Juni 2016, Evonik Degussa und Alzchem/Kommission, C-155/14 P, bestätigt worden sei, berufen. Auf Grund der Ähnlichkeit der wettbewerbsrechtlichen und der datenschutzrechtlichen Bestimmungen zur Verhängung von Geldbußen sei davon auszugehen, dass es sich bei einer Geldbuße nach Art. 83 DSGVO zwar um keine Strafmaßnahme im engeren Sinn, sehr wohl aber um eine dem "Strafrecht verwandte Maßnahme des Verwaltungsrechts" handle, wobei die das Strafrecht prägenden Prinzipien (Unschuldsvermutung, individuelle Vorwerfbarkeit des Handelns, Schuldprinzip) zur Anwendung gelangen würden. Die einschlägige Rechtsprechung des EuGH gehe somit bei einem Regelverstoß durch juristische Personen davon aus, dass diesen der Verstoß zwar individuell vorwerfbar sein müsse, jedoch eine konkrete Benennung der handelnden Personen innerhalb der juristischen Person nicht erforderlich sei.

21 Vorliegend habe das Verfahren vor dem Verwaltungsgericht ergeben, dass die Bildüberwachung der mitbeteiligten Partei individuell vorwerfbar sei und dies von der mitbeteiligten Partei auch nicht bestritten worden sei. In einem Verfahren nach Art. 83 DSGVO iVm § 62 DSG sei jedoch nicht zu prüfen, ob dem Geschäftsführer oder einer anderen handlungsbefugten natürlichen Person der Verstoß individuell zur Last gelegt werden könne. Folglich sei dies auch in der Verfolgungshandlung nach § 32 VStG nicht vorzuwerfen.

22 In dem unter anderem zur Verhängung einer Geldbuße durch die Europäische Kommission in einem Verfahren wegen Verstoßes gegen das Wettbewerbsrecht der Europäischen Union (damals Gemeinschaft) ergangenen Urteil vom 18. September 2003, Volkswagen/Kommission, C-338/00 P, führte der EuGH aus, dass im Wettbewerbsrecht der Gemeinschaft (nunmehr Union) die vorsätzliche oder fahrlässige Begehung einer Zuwiderhandlung im Sinne von Art. 15 Abs. 2 der Verordnung Nr. 17/1962 festgestellt werden kann, ohne dass die Personen benannt zu werden brauchen, die innerhalb des mit der Geldbuße belegten Unternehmens schuldhaft gehandelt haben oder für dessen möglicherweise fehlerhafte Organisation hätten verantwortlich gemacht werden müssen, wobei er in diesem Zusammenhang unter anderem begründend auf Art. 15 Abs. 4 der Verordnung Nr. 17/1962 (nunmehr Art. 23 Abs. 5 der Verordnung (EG) Nr. 1/2003) verwies, wonach die Entscheidungen, mit denen eine solche Geldbuße festgesetzt wird, nicht strafrechtlicher Art sind (vgl. Rn. 96 und 98). Soweit die revisionswerbende Behörde in diesem Zusammenhang auch auf das Urteil des EuGH vom 16. Juni 2016, Evonik Degussa und Alzchem/Kommission, C-155/14 P, verweist, setzt sich der EuGH in dieser Entscheidung nicht mit dem Erfordernis der namentlichen Benennung natürlicher Personen, deren Zuwiderhandeln gegen Wettbewerbsregeln einer juristischen Person zugerechnet wird, auseinander.

23 Im Gegensatz zur Verhängung von Geldbußen wegen Verstößen gegen unionsrechtliche Wettbewerbsregeln handelt es sich bei den von der Aufsichtsbehörde eines Mitgliedstaates für Verstöße gegen die DSGVO gemäß Art. 83 Abs. 4 bis 6 DSGVO zu verhängenden Geldbußen um strafrechtliche Sanktionen (vgl. Erwägungsgrund 150 der DSGVO). Überdies muss gemäß Art. 83 Abs. 8 DSGVO anders als hinsichtlich der Befugnis der Europäischen Kommission zur Verhängung von Geldbußen für Verstöße gegen das Wettbewerbsrecht der Europäischen Union die Ausübung der Sanktionsbefugnis der Aufsichtsbehörde des einzelnen Mitgliedstaates nicht nur angemessenen Verfahrensgarantien des Unionsrechts (etwa der GRC), sondern auch solchen des Rechts der Mitgliedstaaten unterliegen. Insofern ist die Verhängung von Geldbußen durch die Europäische Kommission wegen Verstößen gegen das Wettbewerbsrecht der Europäischen Union nicht vergleichbar mit der Verhängung von Geldbußen durch die Aufsichtsbehörde eines Mitgliedstaates wegen Verstößen gegen die DSGVO gemäß Art. 83 Abs. 4 bis 6 DSGVO. 24 Davon ausgehend ist die in der Revision dargelegte Rechtsprechung des EuGH betreffend die mangelnde Pflicht zur Benennung der Personen, die innerhalb eines wegen eines Verstoßes gegen das Wettbewerbsrecht der Union mit einer Geldbuße belegten Unternehmens schuldhaft gehandelt haben, nicht für Verfahren betreffend die Verhängung von Geldbußen gemäß Art. 83 DSGVO durch die Aufsichtsbehörde eines Mitgliedstaates beachtlich. Das Absehen von der namentlichen Benennung der natürlichen Person, dessen Verhalten der juristischen Person zugerechnet wird, kann daher nicht auf diese Rechtsprechung des EuGH gestützt werden.

Möglichkeit der Konkretisierung der mangelnden Bestimmung der natürlichen Person, dessen Verhalten der juristischen Person zugerechnet werden soll, durch das Verwaltungsgericht 25 Nach § 44a Z 1 VStG ist es rechtlich geboten, die Tat hinsichtlich des Täters und der Tatumstände so genau zu umschreiben, dass die Zuordnung des Tatverhaltens zur Verwaltungsvorschrift, die durch die Tat verletzt worden ist, in Ansehung aller Tatbestandsmerkmale ermöglicht wird (vgl. VwGH 11.9.2019, Ra 2019/02/0094, Rn. 24, mwN). 26 Vorliegend hat die revisionswerbende Behörde in der der mitbeteiligten Partei zu Handen deren handelsrechtlichen Geschäftsführers zugestellten Aufforderung zur Rechtfertigung die natürlichen Personen, deren als tatbestandsmäßig, rechtswidrig und schuldhaft erachtetes Verhalten der mitbeteiligten Partei zuzurechnen sei, nicht namentlich benannt, sondern lediglich als "Organe oder Mitarbeiter" der mitbeteiligten Partei umschrieben. Im Spruch des Straferkenntnisses der revisionswerbenden Behörde wird der mitbeteiligten Partei kein ihr zurechenbares, tatbestandsmäßiges, rechtswidriges und schuldhaftes Verhalten einer natürlichen Person dargetan. Selbst in der Begründung legte die revisionswerbende Behörde nicht offen, welche natürliche Person konkret das der mitbeteiligten Partei zuzurechnende tatbestandsmäßige, rechtswidrige und schuldhafte Verhalten betreffend die einzelnen Tatvorwürfe gesetzt hat. Die revisionswerbende Behörde umschrieb die die Tathandlungen gesetzte(n) natürliche(n) Person(en) lediglich mit dem bloßen Gesetzestext des § 30 Abs. 1 DSG.

27 Damit hat die revisionswerbende Behörde weder in der gegen die mitbeteiligte Partei gerichteten Verfolgungshandlung, noch gemäß § 44a VStG im Spruch des Straferkenntnisses die Tathandlung einer näher genannten natürlichen Person iSd § 30 Abs. 1 DSG, die der mitbeteiligten Partei zuzurechnen ist, für eine Bestrafung der mitbeteiligten Partei hinreichend umschrieben.

28 Unter der Tat im Sinne des § 44a Z 1 VStG ist ein und dasselbe Verhalten des Täters, unabhängig von der rechtlichen Beurteilung der Tat, zu verstehen. Eine nicht ausreichende Umschreibung der Tat im Sinne des § 44a Z 1 VStG berechtigt das Verwaltungsgericht nicht, das Straferkenntnis zu beheben. Es ist vielmehr verpflichtet, in der Sache selbst zu entscheiden und dabei die Tat in einer dem § 44a Z 1 VStG entsprechenden Weise zu präzisieren, darf aber dabei die Tat nicht auswechseln. Ein unzulässiges Austauschen des Tatvorwurfs stellt nach den Grundsätzen der hg. Judikatur eine im Beschwerdeverfahren durch das Verwaltungsgericht vorgenommene Erweiterung des Tatvorwurfs bzw. die Heranziehung eines anderen als des ursprünglich der Bestrafung zu Grunde gelegten Sachverhalts dar. Eine Befugnis der Verwaltungsgerichte zur Ausdehnung des Gegenstands des Verfahrens über die Sache des Verwaltungsstrafverfahrens im Sinn des § 50 VwGVG hinaus besteht nicht. So stellt etwa eine Ausdehnung des Tatzeitraumes erst im Beschwerdeverfahren in Verwaltungsstrafsachen vor dem Verwaltungsgericht eine unzulässige Erweiterung des Tatvorwurfs und der Sache des Verfahrens im Sinn des § 50 VwGVG dar (vgl. VwGH 13.12.2019, Ra 2019/02/0184, Rn. 13 - 15, mwN).

29 Wie sich aus der auch vorliegend auf die Verhängung von Geldbußen wegen Verstößen gegen die DSGVO bzw. das DSG übertragbaren Rechtsprechung des Verwaltungsgerichtshofes zu Ro 2018/02/0023 ergibt, ist, wenn sich der Tatvorwurf gegen die mitbeteiligte Partei als juristische Partei richtet, - wegen der Abhängigkeit der Strafbarkeit der juristischen Person von der Übertretung der ihr zurechenbaren natürlichen Person - darin auch der Vorwurf gegen die darin zu nennende natürliche Person enthalten.

30 Vorliegend hat die revisionswerbende Behörde im Spruch des Straferkenntnisses die natürliche Person, deren Verstoß gegen die DSGVO bzw. das DSG der mitbeteiligten Partei zugerechnet werden soll, nicht benannt. Damit würde im Verwaltungsstrafverfahren gegen die juristische Person die Konkretisierung der natürlichen Person, für deren tatbestandsmäßiges Verhalten die juristische Person zur Verantwortung gezogen wird, erst im Beschwerdeverfahren eine unzulässige Änderung des Tatvorwurfs und der Sache des Verfahrens im Sinne des § 50 VwGVG darstellen.

31 Das Verwaltungsgericht hat daher zu Recht das angefochtene Straferkenntnis behoben und das Verfahren eingestellt. 32 Die Revision erweist sich somit als unbegründet und war gemäß § 42 Abs. 1 VwGG abzuweisen.

Wien, am 12. Mai 2020